VolExp

Explorador de Volatility

Este programa permite al usuario acceder a un volcado de memoria. También puede funcionar como complemento para el Framework Volatility (https://github.com/volatilityfoundation/volatility). Este programa funciona de manera similar a Process Explorer/Hacker, pero adicionalmente permite al usuario acceder a un volcado de memoria (o acceder a la memoria en tiempo real del ordenador usando Memtriage). Este programa puede ejecutarse desde máquinas Windows, Linux y MacOS, pero solo puede usar imágenes de memoria de Windows.

nota: explorador de volatilidad para volatilidad3 https://github.com/memoryforensics1/Vol3xp

Inicio rápido

1. Descargue el archivo volexp.py (descargue también el archivo memtriage.py y reemplácelo con su archivo memtriage.py si desea usar memtriage https://github.com/gleeda/memtriage).

2. Ejecútelo como programa independiente o como complemento de Volatility:

• Como programa independiente:

 python2 volexp

• Como complemento de Volatility:

 python2 vol.py -f <ruta del archivo de memoria> --profile=<perfil de memoria> volexp

Algunas funciones:

python2 memtriage.py --plugins=volexp

• Parte de la información mostrada no se actualizará en tiempo real (excepto la información de procesos (se actualiza lentamente), funciones en tiempo real como el analizador de estructuras, propiedades PE, ejecutar complemento en tiempo real, etc.).

• El programa también permite ver las DLL cargadas, los identificadores abiertos y las conexiones de red de cada proceso (el acceso a las propiedades de una DLL también es opcional).

• Para presentar más información de un proceso, haga doble clic (o clic izquierdo y seleccione Propiedades) para abrir una ventana de información.

• O presentar más información sobre cualquier PE.

• El programa permite al usuario ver los archivos en el volcado de memoria, así como su información. Además, permite al usuario extraer esos archivos (la vista HexDump/cadenas también es opcional).

• El programa admite la visualización de los Objetos de Windows y los metadatos de los archivos (MFT).

• El programa también admite la visualización de una vista del registro del volcado de memoria.

• Además, el programa admite el análisis de estructuras (es posible escribir en la estructura de la memoria, ejecutar funciones de Volatility en una estructura). Ejemplo de cómo obtener todos los módulos de carga dentro de la estructura _EPROCESS en otra ventana del analizador de estructuras:

• El programa también es capaz de marcar automáticamente procesos sospechosos encontrados por otro complemento. Ejemplo de un complemento threadmap en ejecución:

• Ver el uso de memoria de un proceso.

• Marcar manualmente un proceso determinado y añadir una nota al margen.

• Las acciones del usuario se pueden guardar en un archivo separado para su uso posterior.

obtener ayuda: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: